SBI डेटा उल्लंघन: ग्राहकों पर क्या प्रभाव, और DPDP अधिनियम

उद्धरण-योग्य पंक्ति

“पहचान संबंधी डेटा चोरी हुए पासवर्ड से अधिक हानि पहुँचा सकता है।” (ललतेंदु मिश्रा, द हिंदू FAQ, 25 अक्टूबर 2026)

यह व्याख्यात्मक लेख आपकी परीक्षा के लिए क्यों महत्वपूर्ण है

द हिंदू 25 अक्टूबर 2026 को ललतेंदु मिश्रा के एक प्रश्नोत्तर (FAQ) में समझाता है कि भारत के सबसे बड़े वाणिज्यिक बैंक, भारतीय स्टेट बैंक (SBI), द्वारा प्रकट किए गए डेटा उल्लंघन का उसके ग्राहकों के लिए क्या अर्थ है: कौन-सी जानकारी जोखिम में है, ग्राहकों को क्या करना चाहिए, शिकायत कैसे करें, और बैंकों तथा नियामकों को क्या करना चाहिए। इसके नीचे एक विधिक प्रश्न चलता है जो परीक्षक पूछ सकता है: जब ग्राहकों का डेटा लीक होता है, तो किसे बताया जाना चाहिए, किसके द्वारा, और कब तक?

सामान्य अध्ययन प्रश्नपत्र 3: संचार नेटवर्क के माध्यम से आंतरिक सुरक्षा को चुनौतियाँ; साइबर सुरक्षा की आधारभूत बातें; बैंकिंग। सामान्य अध्ययन प्रश्नपत्र 2: सांविधिक और विनियामक निकाय (CERT-In, डेटा संरक्षण बोर्ड, RBI, SEBI)। सामान्य अध्ययन प्रश्नपत्र 4: किसी संस्था का उन लोगों के प्रति देखभाल का दायित्व जिनका डेटा उसके पास है। पहले का कवरेज: FSDC और वित्तीय क्षेत्र की साइबर सुरक्षा रणनीति (अंग्रेज़ी) (23 अक्टूबर), AI एजेंटों पर CERT-In की परामर्शिका (अंग्रेज़ी), 12 अक्टूबर के समाचार-सार (अंग्रेज़ी) में डेटा संरक्षण बोर्ड, और UPI नंबर मास्किंग पर लेख (अंग्रेज़ी) में DPDP नियमावली की चरणबद्ध तिथियाँ।

60 शब्दों में सार

SBI का कहना है कि व्यक्तिगत पहचानकर्ताओं वाले ग्राहक अभिलेख डार्क वेब पर सामने आए हैं; वे वहाँ कैसे पहुँचे, इसकी जाँच चल रही है। मिश्रा का प्रश्नोत्तर बताता है कि यह क्यों महत्वपूर्ण है: पासवर्ड के विपरीत पहचान संबंधी डेटा बदला नहीं जा सकता, और धोखेबाज़ इसका उपयोग बैंक की तरह बात करने के लिए करते हैं। फिर भी वह विधि, जो बैंकों को प्रभावित ग्राहकों को बताने के लिए बाध्य करेगी, अभी लागू नहीं है।

पृष्ठभूमि और संदर्भ

SBI ने क्या प्रकट किया

• चेतावनी। SBI को अपने थ्रेट इंटेलिजेंस सेवा प्रदाता (Threat Intelligence Service Provider), रक्षा साइबर एजेंसी और CERT-In से डार्क वेब पर ग्राहक डेटा के संदिग्ध रूप से उजागर होने के बारे में चेतावनियाँ मिलीं। पाँच दिन बाद, 21 अक्टूबर को, उसने भारतीय प्रतिभूति और विनिमय बोर्ड (SEBI) के मानदंडों के अंतर्गत किए गए प्रकटीकरण में स्टॉक एक्सचेंजों को सूचित किया।
• संख्या। SBI ने एक्सचेंजों को बताया: “डार्क वेब पर उपलब्ध लगभग 3,75,000 अभिलेखों के प्रारंभिक विश्लेषण के दौरान व्यक्तिगत रूप से पहचान योग्य जानकारी (Personally Identifiable Information) वाले 3,897 ग्राहक अभिलेख पहचाने गए”। यह लगभग सौ में एक अभिलेख है।
• विवरण। द हिंदू की रिपोर्ट के अनुसार, SBI के अनुसार उजागर जानकारी में पंजीकृत मोबाइल नंबर, जन्मतिथियाँ, नाम, लिंग, ईमेल पते, आवासीय पते, शाखा और CIF पहचानकर्ता, लीड ID, और ऋण या लीड अभिलेखों से जुड़ा मेटाडेटा शामिल था। रिपोर्टों के अनुसार कथित डेटासेट में ऋण आवेदन, KYC दस्तावेज़ और खाता खोलने के फ़ॉर्म भी शामिल हैं; यह रिपोर्टों का विवरण है, SBI का नहीं।
• क्या ज्ञात नहीं है। SBI ने कहा कि उजागर डेटा की प्रामाणिकता और पूर्णता स्थापित करने, उजागर होने के संभावित स्रोत और सीमा निर्धारित करने, और जोखिमों का आकलन करने के लिए विस्तृत जाँच आवश्यक है। लीक का दावा Siriusim नाम का उपयोग करने वाले एक व्यक्ति या समूह की ओर से आया है; उसकी पहचान के बारे में कैस्परस्की के शोधकर्ता सौरभ शर्मा ने द हिंदू को बताया, “हमारे पास इसकी पहचान या उत्पत्ति पर टिप्पणी करने का कोई आधार नहीं है।”
• ग्राहक। SBI की इस बात के लिए आलोचना हुई थी कि उसने एक्सचेंजों को तो बताया, पर प्रभावित ग्राहकों को नहीं। 23 अक्टूबर को उसने कहा कि उसने उन सभी ग्राहकों को, जिनका डेटा पहचाना गया था, ईमेल और/या WhatsApp के माध्यम से व्यक्तिगत रूप से सूचित कर दिया है, और जोड़ा: “हम दोहराते हैं कि आपके खातों की शेष राशि और धन हमारे पास सुरक्षित हैं।”

पहचान संबंधी डेटा क्यों महत्वपूर्ण है

कैस्परस्की की Global Research and Analysis Team के शर्मा कहते हैं, “उद्देश्य लगभग हमेशा पैसा होता है”: डार्क वेब वह स्थान है जहाँ चुराया गया डेटा एकत्र किया जाता है, नए सिरे से पैक किया जाता है और बेचा जाता है, और कैस्परस्की ने सत्यापित “डंप” थोक में मात्र $50 तक में बिकते पाए हैं। पुराना डेटा भी मूल्यवान रहता है। उन्होंने समझाया कि पासवर्ड कुछ ही मिनटों में बदला जा सकता है, पर फ़ोटो, पहचान संख्या और पते का प्रमाण नहीं। हमलावर नाम, पते और जन्मतिथियाँ मिलाकर “डिजिटल डोज़ियर” बनाते हैं जो बाद के घोटालों को अधिक विश्वसनीय बना देते हैं, और कैस्परस्की KYC जाँचों को चकमा देने के लिए बनाई गई डीपफ़ेक सेवाओं की भूमिगत माँग बढ़ने की सूचना देता है। इसलिए जिन ग्राहकों के अभिलेख उजागर हुए, उन्हीं को ऐसे लोगों की कॉल आने की सबसे अधिक संभावना है जो SBI अधिकारी बनकर उन्हें उनके ही खाते का विवरण सुना सकते हैं।

ग्राहकों को क्या करना चाहिए, और शिकायत कहाँ करें

• पहले कार्रवाई करें। कैस्परस्की की सलाह: मान लें कि डेटा पहले से प्रचलन में है; बैंक की ओर से होने का दावा करने वाले संदेशों में कभी OTP, PIN या CVV साझा न करें और न ही उनके लिंक पर क्लिक करें; नेट बैंकिंग और YONO के पासवर्ड बदलें, द्वि-कारक प्रमाणीकरण (two-factor authentication) और लेनदेन अलर्ट चालू करें; और ऋण, KYC अद्यतन या खाता ब्लॉक किए जाने के बारे में आने वाली किसी भी कॉल को तब तक धोखाधड़ी मानें जब तक SBI ऐप या शाखा के माध्यम से उसका सत्यापन न हो जाए।
• शिकायत करें। कार्ड और खाते ब्लॉक कराने के लिए बैंक को कॉल करें और किसी भी अनधिकृत लेनदेन की सूचना तुरंत दें; राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल (cybercrime.gov.in) पर शिकायत दर्ज करें या 1930 पर कॉल करें; यदि बैंक समाधान नहीं करता, तो RBI एकीकृत लोकपाल (RBI Integrated Ombudsman) के पास जाएँ। स्क्रीनशॉट, संदेश और लेनदेन का विवरण सँभालकर रखें।
• RBI का नियम जानें। ग्राहक देयता पर RBI का जुलाई 2017 का परिपत्र, जिसके निर्देश बाद में वाणिज्यिक बैंकों के लिए उसके उत्तरदायी व्यावसायिक आचरण (Responsible Business Conduct) निर्देश, 2025 में समेकित किए गए, किसी तृतीय-पक्ष उल्लंघन में, जहाँ दोष न बैंक का है न ग्राहक का, ग्राहक को शून्य देयता (zero liability) देता है, यदि ग्राहक “अनधिकृत लेनदेन के बारे में बैंक से सूचना प्राप्त होने के तीन कार्य दिवसों के भीतर” बैंक को सूचित कर दे। ग्राहक की देयता सिद्ध करने का भार बैंक पर है। इस नियम को RBI के 24 जून 2026 के निर्देशों में संशोधित किया गया, जो 1 जनवरी 2027 को या उसके बाद किए गए इलेक्ट्रॉनिक बैंकिंग लेनदेन के लिए यह अवधि बदलकर “उसके घटित होने की तिथि से पाँच कैलेंडर दिवसों के भीतर” कर देते हैं।

क्या ऐसा पहले भी हुआ है?

प्रश्नोत्तर में उल्लेख है कि सार्वजनिक रिपोर्टें 2019 में SBI की SMS बैंकिंग सेवा के पीछे काम करने वाले एक असुरक्षित सर्वर के उजागर होने का स्मरण कराती हैं, जिसके बारे में SBI ने कहा था कि इससे उसके अपने सर्वरों से समझौता नहीं हुआ, और बैंक ऑफ़ बड़ौदा ने जुलाई 2026 में एक डेटा लीक स्वीकार किया।

विश्लेषण

1. ऐसा उल्लंघन जिसका स्रोत ज्ञात नहीं। SBI ने अब तक जो कुछ कहा है, उससे यह स्थापित नहीं होता कि उसकी अपनी प्रणालियों में सेंध लगी; उसका कहना है कि स्रोत की जाँच चल रही है। उत्तर में यही रेखा बनाए रखनी चाहिए: “डेटा का उजागर होना” (data exposure) और “संदिग्ध लीक” (suspected leak) सटीक हैं; “SBI हैक हुआ” स्थापित नहीं है। फिर भी ग्राहकों को होने वाली हानि जाँच की प्रतीक्षा नहीं करती, क्योंकि डेटा पहले से प्रचलन में है।

2. नियामकों को बताया गया, ग्राहकों को नहीं। आज लागू हर दायित्व ऊपर की ओर जाता है। 2022 से CERT-In के 28 अप्रैल 2022 के निर्देश साइबर घटनाओं की सूचना CERT-In को “ऐसी घटनाओं का पता चलने या उन्हें ध्यान में लाए जाने के 6 घंटे के भीतर” देने की अपेक्षा करते हैं, और रिपोर्ट की जाने वाली घटनाओं की सूची में “डेटा उल्लंघन” (Data Breach) और “डेटा लीक” (Data Leak) शामिल हैं। सूचीबद्ध कंपनी स्टॉक एक्सचेंजों को सूचित रखती है। इंटरनेट फ़्रीडम फ़ाउंडेशन (IFF) ने, जिसे प्रश्नोत्तर के 22 अक्टूबर के ऑनलाइन संस्करण में उद्धृत किया गया है, इस अंतर को स्पष्ट शब्दों में रखा: ये दायित्व “नियामकों के प्रति हैं, ग्राहकों के प्रति नहीं”, और एक सूचीबद्ध बैंक के बारे में, “लागू कोई भी विधि उसे उन लोगों को सूचित करने के लिए स्पष्ट रूप से बाध्य नहीं करती जिनका डेटा उसके पास है”। यह IFF की व्याख्या है, पर यह पाठ से मेल खाती है: इनमें से कोई भी विधिक साधन ग्राहक का नाम नहीं लेता।

3. जो विधि इस अंतर को भरेगी, वह बन चुकी है पर लागू नहीं हुई। DPDP अधिनियम की धारा 8(6) उल्लंघन की सूचना की अपेक्षा करती है; DPDP नियमावली, 2025 का नियम 7 बताता है कि कैसे:

• प्रत्येक प्रभावित व्यक्ति को, “बिना किसी देरी के”: उल्लंघन का विवरण, उसके संभावित परिणाम, जोखिम कम करने के लिए किए गए उपाय, वे सुरक्षा उपाय जो व्यक्ति स्वयं कर सकता है, और एक संपर्क जो प्रश्नों के उत्तर दे सके।
• बोर्ड को, “बिना किसी देरी के”, उल्लंघन का विवरण, और फिर, “भंग की जानकारी मिलने के बहत्तर घंटों के भीतर, या बोर्ड द्वारा इस संबंध में लिखित रूप में किए गए अनुरोध पर दी गई अधिक अवधि के भीतर”, उसके कारणों और उठाए गए कदमों की विस्तृत जानकारी।

लेकिन नियम 1(4) कहता है कि नियम 3, 5 से 16, 22 और 23 “इस राजपत्र के प्रकाशन की तिथि से अठारह माह के बाद प्रवृत्त होंगे”, और अधिनियम की अपनी प्रारंभ अधिसूचना धारा 8 और धारा 33 को भी इसी समय-सीमा पर लागू करती है। नियमों के राजपत्र की तिथि 13 नवंबर 2025 है; उससे गिनने पर ये प्रावधान 13 मई 2027 को प्रारंभ होंगे, वही तिथि जो IFF और द हिंदू देते हैं। (PIB की पृष्ठभूमि टिप्पणी के अनुसार नियम 14 नवंबर 2025 को अधिसूचित हुए; राजपत्र पर पहले की तिथि अंकित है।) IFF इसे “संसद द्वारा विधि बनाए जाने के लगभग चार वर्ष बाद” कहता है और चाहता है कि MeitY धारा 8(6) और नियम 7 को तुरंत लागू करे।

4. दंड जो अभी प्रभावी नहीं हो सकते। यदि बोर्ड जाँच पूरी होने पर पाता है कि कोई उल्लंघन महत्वपूर्ण है, तो वह सुनवाई के बाद “अनुसूची में विनिर्दिष्ट ऐसा मौद्रिक दंड अधिरोपित” कर सकता है (धारा 33(1))। अनुसूची की अधिकतम सीमाएँ: धारा 8(5) का उल्लंघन, अर्थात् उचित सुरक्षा उपाय करने का दायित्व, “दो सौ पचास करोड़ रुपये तक हो सकता है”; धारा 8(6) के अंतर्गत विफलता, अर्थात् उल्लंघन की सूचना न देना, “दो सौ करोड़ रुपये तक हो सकता है”। चूँकि धारा 33 भी उसी विलंबित तिथि को प्रारंभ होगी, इसलिए आज के किसी उल्लंघन के लिए इनमें से कोई भी दंड अधिरोपित नहीं किया जा सकता।

5. अभी ग्राहक की रक्षा क्या करता है। दो बातें: बैंक का अपना आचरण, और अनधिकृत लेनदेन पर RBI के नियम। दूसरी बात वास्तविक है पर सीमित: यह किसी धोखाधड़ी वाले इलेक्ट्रॉनिक लेनदेन के माध्यम से लिए गए धन की रक्षा करती है, उस ग्राहक की नहीं जिसके पहचान दस्तावेज़ अब किसी अपराधी की फ़ाइल में हैं। इसीलिए IFF की अंतरिम माँग है कि RBI, DPDP अधिनियम के “प्रारंभ होने तक, सभी विनियमित संस्थाओं को एक निश्चित अवधि के भीतर ग्राहकों को वैयक्तिक डेटा उल्लंघनों की सूचना देने का निर्देश दे”।

6. रोकथाम डेटा का प्रश्न है। शर्मा कहते हैं कि बेहतर तैयारी वाले बैंक परिधि की रक्षा (perimeter defence) से निरंतर दृश्यता की ओर बढ़ रहे हैं: थ्रेट इंटेलिजेंस, चौबीसों घंटे निगरानी, विक्रेता-जोखिम की समीक्षा और कर्मचारियों का प्रशिक्षण। ऑनलाइन संस्करण में उनकी सबसे संक्षिप्त सलाह: “कम डेटा रखें, जो बचे उसकी रक्षा करें और डार्क वेब पर नज़र रखें।” यही डेटा न्यूनीकरण (data minimisation) है: जो डेटा बैंक रखता ही नहीं, वह उससे लीक नहीं हो सकता।

आँकड़े और संस्थाएँ

प्रारंभिक परीक्षा के तथ्य:

प्रकटीकरण:

• SBI: डार्क वेब पर लगभग 3,75,000 अभिलेखों के प्रारंभिक विश्लेषण में व्यक्तिगत रूप से पहचान योग्य जानकारी वाले 3,897 ग्राहक अभिलेख मिले
• चेतावनियाँ SBI के थ्रेट इंटेलिजेंस सेवा प्रदाता, रक्षा साइबर एजेंसी और CERT-In से आईं
• SEBI के मानदंडों के अंतर्गत स्टॉक एक्सचेंजों को प्रकट किया गया; SBI का कहना है कि उसने पहचाने गए ग्राहकों को ईमेल और/या WhatsApp से व्यक्तिगत रूप से सूचित किया

DPDP अधिनियम, 2023 (2023 का अधिनियम संख्या 22), अगस्त 2023 में अधिनियमित (स्वीकृति 11 अगस्त 2023):

• धारा 2(u): “वैयक्तिक डेटा उल्लंघन” को परिभाषित करती है (अनधिकृत प्रसंस्करण, या आकस्मिक प्रकटीकरण, पहुँच की हानि और इसी प्रकार की स्थितियाँ)
• धारा 8(5): उल्लंघन रोकने के लिए उचित सुरक्षा उपाय; दंड 250 करोड़ रुपये तक हो सकता है
• धारा 8(6): उल्लंघन की सूचना बोर्ड और प्रत्येक प्रभावित डेटा प्रिंसिपल को; दंड 200 करोड़ रुपये तक हो सकता है
• धारा 18: भारतीय डेटा संरक्षण बोर्ड, नवंबर 2025 में स्थापित; मुख्यालय राष्ट्रीय राजधानी क्षेत्र (NCR) में

DPDP नियमावली, 2025 (G.S.R. 846(E)):

• राजपत्र की तिथि 13 नवंबर 2025; PIB अधिसूचना की तिथि 14 नवंबर 2025 बताता है
• नियम 7: प्रत्येक प्रभावित व्यक्ति और बोर्ड को “बिना किसी देरी के” सूचना; बोर्ड को बहत्तर घंटों के भीतर विस्तृत रिपोर्ट
• नियम 1(4): नियम 3, 5 से 16, 22 और 23 प्रकाशन के अठारह महीने बाद लागू, जो 13 मई 2027 बैठता है
• अधिनियम की धाराएँ 8 और 33 भी उसी तिथि से प्रारंभ होंगी (G.S.R. 843(E))

साइबर सुरक्षा:

• CERT-In: सूचना प्रौद्योगिकी अधिनियम, 2000 की धारा 70B के अंतर्गत साइबर सुरक्षा की राष्ट्रीय एजेंसी
• CERT-In निर्देश, 28 अप्रैल 2022 (2022 से लागू): साइबर घटनाओं का पता चलने के 6 घंटे के भीतर उनकी सूचना; सूची में डेटा उल्लंघन और डेटा लीक शामिल हैं

RBI और निवारण:

• RBI परिपत्र, 6 जुलाई 2017: तृतीय-पक्ष उल्लंघन में शून्य देयता, यदि बैंक की सूचना के तीन कार्य दिवसों के भीतर रिपोर्ट किया जाए; प्रमाण का भार बैंक पर
• जून 2026 में संशोधित (तृतीय संशोधन निर्देश, 24 जून 2026): धोखाधड़ी वाले लेनदेन से पाँच कैलेंडर दिवस, 1 जनवरी 2027 को या उसके बाद के लेनदेन के लिए
• शिकायतें: cybercrime.gov.in, हेल्पलाइन 1930, फिर RBI एकीकृत लोकपाल

संभावित भ्रामक बिंदु:

• SBI की गणना व्यक्तिगत पहचानकर्ताओं वाले ग्राहक अभिलेखों की है, धन गँवाने वाले ग्राहकों की नहीं
• 250 करोड़ रुपये सुरक्षा उपाय न करने की अधिकतम सीमा है (धारा 8(5)); सूचना न देने पर 200 करोड़ रुपये (धारा 8(6))
• धारा 8(6), नियम 7 और धारा 33 के दंड अभी लागू नहीं हैं
• RBI का शून्य-देयता नियम अनधिकृत लेनदेन को कवर करता है, अपने-आप में डेटा के लीक को नहीं

वाद-विवाद

IFF के पक्ष में तर्क। जोखिम ग्राहकों पर पड़ता है, और वह तात्कालिक है: ऐसे धोखेबाज़ों की कॉल जो उनके नाम और पते पहले से जानते हैं। CERT-In और एक्सचेंजों को दी गई सूचना उन्हें सचेत नहीं करती; जो ग्राहक जानता है कि डेटा बाहर आ चुका है, वह पासवर्ड बदल सकता है, कार्ड ब्लॉक कर सकता है और हर कॉल करने वाले पर संदेह कर सकता है। 2023 में पारित जिस विधि का उल्लंघन संबंधी दायित्व 2027 में आरंभ होगा, वह एक लंबा अंतराल छोड़ती है, जिसे RBI बैंकों के लिए निर्देश द्वारा भर सकता है।

दूसरा पक्ष। SBI का कहना है कि डेटा की प्रामाणिकता, पूर्णता और स्रोत के लिए अभी विस्तृत जाँच आवश्यक है; उससे पहले भेजी गई सूचना ग्राहकों को ऐसे अभिलेखों पर चिंतित कर सकती है जो पुराने, अधूरे या SBI के हों ही नहीं। और चरणबद्ध आरंभ के पक्ष में सरकार का तर्क, PIB की पृष्ठभूमि टिप्पणी में, यह है कि यह “संगठनों को अपनी प्रणालियों को समायोजित करने और उत्तरदायी डेटा प्रथाएँ अपनाने के लिए पर्याप्त समय देता है”।

संतुलित निष्कर्ष। SBI की बाद की सूचना दिखाती है कि यह अंतर स्वेच्छा से भरा जा सकता है, लेकिन SBI का वक्तव्य सार्वजनिक आलोचना के बाद ही आया, और किसी विधि ने यह सूचना अनिवार्य नहीं की थी। नियम 7 सत्यापन की चिंता का आधा समाधान पहले ही करता है: यह “अपनी सर्वोत्तम जानकारी के अनुसार” और “बिना किसी देरी के” सूचना माँगता है, और बोर्ड को विस्तृत रिपोर्ट बाद में देने की छूट देता है। परीक्षा के लिए अधिक सुदृढ़ पंक्ति है ग्राहकों को बताने का एक अंतरिम, समयबद्ध दायित्व, जिसे DPDP प्रावधानों के प्रारंभ होने तक क्षेत्रीय नियामक निर्धारित करे।

इस विषय पर कैसे सोचें

किसी भी डेटा उल्लंघन संबंधी प्रश्न के लिए “पता लगाना, रिपोर्ट करना, बताना, निवारण” (detect, report, tell, redress) की दृष्टि अपनाएँ:

1. पता लगाना: इसे किसने पाया? (यहाँ, एक थ्रेट इंटेलिजेंस प्रदाता, रक्षा साइबर एजेंसी और CERT-In ने, ग्राहक ने नहीं।)
2. रिपोर्ट करना: इसे किसके पास जाना चाहिए, और कितनी शीघ्रता से? (CERT-In के पास, उसके 2022 के निर्देशों के अंतर्गत; सूचीबद्ध कंपनी के मामले में, एक्सचेंजों के पास।)
3. बताना: क्या प्रभावित लोगों को बताया जाना आवश्यक है? (IFF की व्याख्या में, आज लागू किसी विधि के अंतर्गत नहीं; धारा 8(6) और नियम 7 के प्रारंभ होने के बाद, उनके अंतर्गत हाँ।)
4. निवारण: पीड़ित क्या वापस पा सकता है, और कहाँ? (समय पर रिपोर्ट किए गए अनधिकृत लेनदेन पर शून्य देयता; साइबर अपराध हेल्पलाइन और पोर्टल, और RBI लोकपाल।)

फिर तिथियों को स्पष्ट रखें: विधि का अधिनियमित होना, नियमों का अधिसूचित होना और किसी प्रावधान का लागू होना, तीन अलग-अलग बातें हैं।

आरेख में समझें

चित्र को ऊपर से नीचे की ओर पढ़ें: चेतावनी, वे तीन व्यक्ति या निकाय जिन्हें बताया जा सकता है और आज प्रत्येक पर क्या बाध्यकारी है, फिर वह दायित्व जो लिखा तो गया है पर अभी लागू नहीं है। ग्राहकों वाला बॉक्स वही अंतर है जिसके बारे में यह प्रश्नोत्तर है।

मुख्य निष्कर्ष

• मूल विचार: भारत में आज लागू उल्लंघन संबंधी दायित्व नियामकों और बाज़ारों के प्रति हैं; ग्राहकों को बताने का दायित्व (धारा 8(6) और नियम 7) विधि में है पर अभी लागू नहीं।
• प्रारंभिक परीक्षा के सूत्र: DPDP अधिनियम, 2023, धाराएँ 2(u), 8(5), 8(6), 18 और 33; DPDP नियमावली, 2025, नियम 1(4) और 7; सूचना प्रौद्योगिकी अधिनियम, 2000, धारा 70B और CERT-In के 2022 के निर्देश; RBI की शून्य देयता।
• नीतिशास्त्र और साक्षात्कार का कोण: किसी संस्था का उन लोगों के प्रति देखभाल का दायित्व जिनका डेटा उसके पास है, बनाम बोलने से पहले सत्यापन करने की इच्छा।
• संभावित प्रश्न: “डिजिटल वैयक्तिक डेटा संरक्षण अधिनियम, 2023 और उसके अंतर्गत बनाए गए नियमों में वैयक्तिक डेटा उल्लंघन संबंधी प्रावधानों की व्याख्या कीजिए। बैंक ग्राहकों के लिए उनका प्रारंभ क्यों महत्वपूर्ण है?” (सामान्य अध्ययन प्रश्नपत्र 3, 150 शब्द)

स्रोत:

• ललतेंदु मिश्रा, “How does the SBI data breach affect customers?”, FAQ, The Hindu, 25 अक्टूबर 2026 (दिल्ली मुद्रित संस्करण)
• The Hindu, “SBI data breach: What information was exposed and what customers should do”, 22 अक्टूबर 2026; The Hindu, “Data breach: SBI says it individually informed all affected customers”, 23 अक्टूबर 2026
• The Digital Personal Data Protection Act, 2023 (धाराएँ 2(u), 8, 18, 33 और अनुसूची), MeitY
• Ministry of Electronics and Information Technology, G.S.R. 843(E), G.S.R. 844(E) और G.S.R. 846(E) (Digital Personal Data Protection Rules, 2025), Gazette of India, 13 नवंबर 2025; PIB पृष्ठभूमि टिप्पणी, 17 नवंबर 2025
• The Information Technology Act, 2000 (धारा 70B); धारा 70B(6) के अंतर्गत CERT-In Directions, 28 अप्रैल 2022
• Reserve Bank of India, परिपत्र DBR.No.Leg.BC.78/09.07.005/2017-18, 6 जुलाई 2017; Reserve Bank of India (Commercial Banks - Responsible Business Conduct) Third Amendment Directions, 2026, 24 जून 2026
• टिप्पणी: उद्धरण-चिह्नों में दिए गए विधिक और आधिकारिक अंश अंग्रेज़ी पाठ के हिंदी अनुवाद हैं; DPDP नियमावली, 2025 के अंश उसके आधिकारिक हिंदी पाठ (राजपत्र) से हैं।